DSMM 数据安全能力成熟度指南

先说结论

如果只记三句话，记这三句：

一、DSMM 评的是"数据在生命周期各环节是否守得住"。它不看你安全产品清单有多长，它看你采集时有没有合法依据、传输时通道有没有管、存储时分级分得对不对、处理时权限收得住收不住、交换时审批走没走、销毁时删干净没删干净。这六件事每一件都要有责任人、有制度、有技术手段、有记录。

二、DSMM 和 DCMM 不是一回事。DCMM 管"数据管得好不好"——战略、治理、架构、质量、标准这一整套，关注的是数据能不能被用起来、用得准不准。DSMM 管"数据守不守得住"，只盯安全这条线。一个讲管得好，一个讲守得住，视角不同，可以组合，替代不了彼此。

三、DSMM 和 ISO 27001 也不是一回事。ISO 27001 是信息安全管理体系认证，属于国际标准，站的是组织级 ISMS 的视角，结果是通过认证或不通过；DSMM 是国内的数据安全能力评估，站的是数据本身的视角，结果是达到某一等级。一份 ISO 27001 的体系文件搬过来，撑不起 DSMM 的现场核验。

DSMM 到底在评什么

做安全的人容易陷入一种惯性：把精力放在设备和平台上。买齐了态势感知、数据库审计、堡垒机、加密机，感觉体系就搭起来了。DSMM 的问法不一样——它不问"你有哪些设备"，而问"数据流到这一环时，谁负责、依据什么规则、用什么手段、留下什么记录"。

四个问题的组合，才是能力。设备只回答第三个。评估现场通常是这样的：先看你的制度里有没有写清楚某一环节的要求，再找个真实的数据流问下去——这条数据谁批的、走了哪个通道、落到哪张表、谁能查、查过有没有日志、到期怎么处理。四个问题里有一两个答不上来，这一格就压不上去。

所以 DSMM 的落点不是文档完整度，而是能力在真实业务里的可验证程度。文档是必要条件，不是充分条件。文件上写"敏感数据出库需审批"，系统里却查不到一条审批流，这一条在评估里等于不存在。

换个角度，DSMM 的用处也不只在结果上。它给出的六环节 × 四维度是一个很实用的自查网格：把每一格填上"谁管、依据什么、靠什么工具、去年发生过什么"，短板会自己浮出来。很多企业做完差距分析才发现，钱花在了处理环节，而交换和销毁两格几乎是空的——偏偏数据外泄和数据残留，多数出事在这两格。

数据生存周期六环节：真正的主战场

六个环节是一条链。链条的特点是——强度取决于弱的一环。存储加密做得再严，交换环节靠微信发文件，整条链就断了。做差距分析时按环节逐条走一遍，比笼统谈"提升安全意识"有效得多。

有个常被忽略的点：销毁环节在评估里权重不低，在企业内部却常年无人认领。设备报废往往走资产流程，不走数据流程；云上资源释放了，快照和备份还在。评估时被问到"上季度报废的硬盘怎么处理"，答不上来的情况并不少见。

谁能评、怎么评

DSMM 由具备资质的评估机构实施评估并出具等级结果，证书有有效期，具体年限与复评安排以现行规则为准。企业在选择机构时，重点看两件事：资质范围是否覆盖你要申报的等级与行业，评估团队是否真的理解你的业务场景。具体机构名单不在此罗列，以当期公布的资质信息为准。

与 DCMM、ISO 27001 的区别

这三个名字经常被放在一起问，其实回答的是三个不同的问题。混着谈，预算一定会做错。

关键信息